-
FELD
-
Die vorliegende Erfindung betrifft Kommunikationsnetzwerke mit miteinander synchronisierten Netzwerkgeräten.
-
HINTERGRUND
-
Ethernet-Technologien werden zunehmend in Fahrzeugen eingesetzt und ersetzen dort ältere bzw. proprietäre Datenverbindungen und -busse.
Ethernet-Verbindungen unterstützen auf dem Layer 3 des OSI-Schichtenmodells eine Vielzahl von Vermittlungsprotokollen für die Übertragung von Datenpaketen zwischen Sendern und Empfängern. In den höheren Protokollschichten erfolgt die Segmentierung des Datenstroms in Pakete, die Prozesskommunikation zwischen miteinander kommunizierenden Systemen, die Übersetzung von Daten in eine systemunabhängige Form und schließlich die Bereitstellung von Funktionen für Anwendungen.
-
Fast alle in Fahrzeugen eingesetzten Ethernet-Kommunikationsnetzwerke nutzen ein Protokoll zur Zeitsynchronisation, das eine in allen Netzwerkgeräten synchrone globale Zeitbasis des Netzwerks bereitstellt. Es wird erwartet, dass der Verbreitungsgrad zeitlich synchronisierter Netzwerkgeräte in Zukunft weiter zunimmt.
-
Der IEEE 802.1AS-Standard stellt ein solches Protokoll zur Zeitsynchronisation bereit. Ausgehend von einer sogenannten „besten Uhr“ im Netzwerk, auch als Grandmaster oder Grandmaster Clock bezeichnet, wird eine Master-Slave-Uhrenhierarchie aufgebaut. Der Grandmaster stellt dabei die Zeitbasis für das Netzwerk bereit, auf die alle anderen Netzwerkgeräte des Netzwerks sich synchronisieren. Der Grandmaster wird mittels des sogenannten Best Master Clock Algorithmus (BMCA) bestimmt und innerhalb des Netzwerks bekanntgegeben. Dazu senden IEEE 802.1AS-fähige Netzwerkgeräte Announce-Nachrichten mit Informationen über ihre interne Uhr an unmittelbar angeschlossene weitere Netzwerkgeräte. Die Informationen über die internen Uhren geben Aufschluss auf die Genauigkeit der jeweiligen Uhr, deren Bezug oder Zeitreferenz sowie andere Eigenschaften, anhand derer die beste Uhr in dem Netzwerk bestimmt werden kann. Ein Empfänger einer solchen Announce-Nachricht vergleicht die empfangenen Informationen mit den Merkmalen seiner eigenen internen Uhr und evtl. bereits von einem anderen Port empfangenen Nachrichten mit Informationen zu Uhren anderer Netzwerkgeräte, und akzeptiert eine in einem anderen Netzwerkgerät befindliche Uhr, wenn diese bessere Uhrenparameter hat. Nach kurzer Zeit ist die beste Uhr in dem Netzwerk ermittelt, die dann der Grandmaster in dem Netzwerk wird. Ausgehend von dem Grandmaster werden Nachrichten zur Zeitsynchronisation über das Netzwerk verbreitet. Ein Netzwerkgerät das eine Nachricht zur Zeitsynchronisation empfängt leitet diese nicht einfach weiter, sondern korrigiert die Zeitinformation um die zuvor ermittelte Laufzeit auf der Verbindung, über die es Nachrichten zur Zeitsynchronisation von einem direkt verbundenen Netzwerkgerät empfängt, sowie um die interne Bearbeitungsdauer, bevor es die Nachricht zur Zeitsynchronisation mit der korrigierten Zeitinformation weitersendet.
-
Bei der Uhrenhierarchie gemäß IEEE 802.1AS und dem darin festgelegten „generalized precision time protocol“ (gPTP) stellt immer nur ein einziges Netzwerkgerät die beste Uhr des Netzwerkes bereit. Dieses Netzwerkgerät steuert und regelt somit die gesamte Zeit des Fahrzeugs. Alle anderen Uhren in Netzwerkgeräten des Netzwerkes richten sich ausschließlich nach dieser einen Uhr. Einige Fahrzeughersteller synchronisieren sogar Netzwerke anderer Standards, bspw. CAN, über diesen Ethernet-Zeitmaster, so dass fast allen Netzwerkgeräten des Fahrzeugs von dem den Grandmaster bereitstellenden Netzwerkgerät die Systemzeit mitgeteilt wird. Dadurch ist in dem Netzwerk bzw, dem Fahrzeug ein einzelnes Netzwerkgerät als Single Point of Failure festgelegt, dessen Ausfall oder Manipulation gravierende Auswirkungen auf die Betriebssicherheit des Fahrzeugs haben kann. So müssen bspw. in Fahrzeugen mit einem hohen Grad an Fahrerunterstützung durch entsprechende Systeme oder mit Systemen für das (Teil-)Autonome Fahren eine Vielzahl von innerhalb eines engen Zeitfensters erfassten Sensordaten gemeinsam verarbeitet werden, um entsprechende Ansteuersignale für Aktoren des Fahrzeugs abzuleiten. Auch für Dokumentationszwecke kann eine möglichst genaue Zeiterfassung von Sensordaten von großer Bedeutung sein, bspw. bei der Speicherung in Log-Dateien, durch deren Analyse Fehlfunktionen oder Fehlbedienungen rekonstruiert werden können. Letzteres ist insbesondere für Versicherungen und Strafverfolgungsbehörden von hohem Interesse. Daher ist eine sichere synchronisierte Bereitstellung der Zeitinformation unverzichtbar.
-
Die heutigen Verfahren und Protokolle zur Zeitsynchronisation bieten keine einfachen Möglichkeiten zum Schutz des Grandmasters. Jedes Netzwerkgerät kann aus den als einfache Multicast Ethernet-Frames an mehrere oder alle Netzwerkgeräte des Netzwerks gesendeten Nachrichten zur Zeitsynchronisation einfach ableiten, welches Netzwerkgerät in dem Netzwerk der Grandmaster ist. Schutzmechanismen auf höheren Protokollschichten wie etwa IPSEC oderTLS und dergleichen können auf dieser Ebene noch nicht greifen. Durch die in den Nachrichten zur Zeitsynchronisation enthaltene MAC-Adresse des Grandmasters ist es Angreifern leicht möglich, ein Netzwerkgerät als besonders lohnendes Angriffsziel zu identifizieren und vor allem zu lokalisieren, auf das dann Angriffe konzentriert werden können.
-
Aus dem Stand der Technik sind einige Ansätze zur Erkennung von Änderungen der Konfiguration oder Struktur eines Kommunikationsnetzwerks unter Nutzung der Zeitsynchronisation des Netzwerks bekannt. Eine unautorisierte Änderung der Konfiguration des Netzwerks kann bspw. das Zwischenschalten eines Netzwerkgeräts zur Vorbereitung eines Angriffs umfassen, das Nachrichten zur Analyse abfängt und ggf. veränderte Nachrichten weitersendet. Dies kann dazu genutzt werden, den sicheren und ordnungsgemäßen Betrieb zu verhindern oder zumindest zu stören. Die
DE102012216689B4 schlägt zur Erkennung von Angriffen dieser Art vor, Laufzeiten von Nachrichten zur Zeitsynchronisation innerhalb des Kommunikationsnetzes zu überwachen. Ein zwischen zwei Netzwerkgerät geschaltetes zusätzliches Netzwerkgerät, das Nachrichten abfängt und weiterleitet wird die Laufzeit der Nachrichten zwangsläufig verändern, selbst wenn die weitergeleitete Nachricht nicht verändert wird.
-
Keine der bekannten Anwendungen hat sich bislang jedoch mit dem Problem auseinandergesetzt, wie der Grandmaster mit einfachen Mitteln vor Angriffen geschützt werden kann, ohne die grundsätzliche Konformität mit dem IEEE 802.1AS-Standard zu verlieren.
-
Es ist daher eine Aufgabe der Erfindung ein Verfahren und ein das Verfahren implementierendes Netzwerkgerät anzugeben welche einen verbesserten Schutz des Grandmasters vor Angriffen bieten.
-
BESCHREIBUNG
-
Diese Aufgabe wird durch das in Anspruch 1 angegebene Verfahren und das in Anspruch 5 angegebene Netzwerkgerät gelöst. Ausgestaltungen und Weiterentwicklungen sind in jeweiligen abhängigen Ansprüchen angegeben.
-
Ein erfindungsgemäßes Verfahren zur Absicherung einer Grandmaster Clock in einem Netzwerk, in dem eine Zeitsynchronisation gemäß IEEE 802.1AS erfolgt, umfasst, im Anschluss an eine Initialisierung der Zeitsynchronisation, das Speichern einer eindeutigen Uhrenidentifikation der bei der Initialisierung ermittelten Grandmaster Clock in jedem der IEEE 802.1AS-fähigen Netzwerkgeräte. Die Initialisierung kann die Ausführung eines Best Master Clock Algorithmus umfassen, mit dem die beste Uhr des Netzwerks identifiziert und im Netzwerk bekanntgegeben wird, und mit deren Uhrzeit alle anderen Netzwerkgeräte synchronisiert werden. Die Uhrenidentifikation kann insbesondere den Parameter „clockldentity“ nach dem IEEE 802.1AS-Standard umfassen.
-
Besonders vorteilhaft ist es, wenn die Initialisierung der Zeitsynchronisation in einem sicheren Umfeld ausgeführt wird, in dem ein Angriff mit ausreichend hoher Wahrscheinlichkeit ausgeschlossen werden kann, bspw. am Ende eines Herstellprozesses, durch den ein das abgesicherte Netzwerk enthaltendes Erzeugnis gefertigt wird. Eine einmalige Initialisierung kann vor allem dann genügen, wenn das Netzwerk bzw. dessen Konfiguration sich nach der Initialisierung nicht mehr ändert, bspw. in Fahrzeugen aller Art.
-
Das Erfindungsgemäße Verfahren umfasst ferner das Senden von zusätzlichen Nachrichten zur Zeitsynchronisation durch ausgewählte Netzwerkgeräte, die nicht die zuvor ermittelte Grandmaster Clock bereitstellen, wobei die in den zusätzlichen Nachrichten zur Zeitsynchronisation gesendeten Zeitinformationen sowie die für eine Ermittlung der besten Uhr mittels BMCA relevanten Uhrenparameter und die Domänennummer mit denen der zuvor ermittelten Grandmaster Clock übereinstimmen bzw. mit diesen vergleichbar sind. Die zusätzlichen Nachrichten zur Zeitsynchronisation enthalten jedoch eine eindeutige Uhrenidentifikation, die der Identifikation des jeweiligen ausgewählten Netzwerkgeräts entspricht. Die für dir Durchführung des BMCA relevanten Uhrenparameter umfassen insbesondere die Werte für die Variablen priority1, priority2, clockClass, clockAccuracy, offsetScaledLogVariance, und timeSource gemäß IEEE 802.1AS-Standard. Jede der von den ausgewählten Netzwerkgeräten gesendeten zusätzlichen Nachrichten zur Zeitsynchronisation scheint also für jeden, der den Netzwerkverkehr abhört, von einer Grandmaster Clock zu stammen, genauso wie die Nachrichten zur Zeitsynchronisation der bei der Initialisierung ermittelten Grandmaster Clock, so dass für den Beobachter eine Vielzahl von Grandmaster Clocks in dem Netzwerk existiert.
-
Die ausgewählten Netzwerkgeräte senden ihre zusätzlichen Nachrichten zur Zeitsynchronisation vorzugsweise in Zyklen die denen der bei der Initialisierung ermittelten Grandmaster Clock entsprechen. Jedes der ausgewählten Netzwerkgeräte stellt somit eine Art Pseudo-Grandmaster Clock dar, die sich so verhält, als wäre sie die einzige und auch beste Uhr des Netzwerks. Die Pseudo-Grandmaster Clock sind für einen außenstehenden Beobachter trotz der sich hinsichtlich der Ausbreitung der Nachrichten zur Zeitsynchronisation innerhalb des Netzwerks unterscheidenden Zeitsynchronisationsbäume nicht von der bei der Initialisierung ermittelten Grandmaster Clock unterscheidbar, da die zusätzlichen Nachrichten zur Zeitsynchronisation mit derselben Domänennummer gesendet werden.
-
Das Senden der zusätzlichen Nachrichten zur Zeitsynchronisation durch die ausgewählten Netzwerkgeräte kann beginnen, sobald an alle Netzwerkgeräte die eindeutige Uhrenidentifikation der bei der Initialisierung ermittelten Grandmaster Clock gesendet wurde. Es ist jedoch auch möglich das Senden der zusätzlichen Nachrichten zur Zeitsynchronisation erst zu beginnen, wenn eine erste Zeitsynchronisation aller Netzwerkgeräte des Netzwerks abgeschlossen ist.
-
Jede der zusätzlichen Nachrichten zur Zeitsynchronisation wird von allen Netzwerkgeräten in gleicher Weise standardkonform weitergeleitet wie die von der bei der Initialisierung ermittelten Grandmaster Clock gesendeten Nachrichten zur Zeitsynchronisation. Das heißt, nach einer Korrektur der Zeitinformation um die Laufzeit auf der Empfangsverbindungsstrecke und die interne Bearbeitungszeit wird eine Nachricht zur Zeitsynchronisation an weitere direkt verbundene Netzwerkgeräte gesendet.
-
Die Netzwerkgeräte sind miteinander über physikalische Schnittstellen verbunden. Nachrichten zur Zeitsynchronisation werden über für die Schnittstelle definierten logischen Port gesendet, so dass auch bei gemeinsam genutzten physikalischen Übertragungsmedien zwischen zwei Netzwerkgeräten Punkt-zu-Punkt-Verbindungen für die Zeitsynchronisation bestehen. In der vorliegenden Beschreibung wird der Begriff Schnittstelle gelichbedeutend mit dem Begriff Port verwendet, wenn sich aus dem Kontext nichts anderes ergibt.
-
Eine Identifizierung der bei der Initialisierung ermittelten Grandmaster Clock ist für einen Beobachter, welcher erst nach Abschluss der Initialisierung beginnt, den Netzwerkverkehr abzuhören, durch das erfindungsgemäße Verfahren erheblich erschwert oder sogar unmöglich.
-
Die Auswahl der Netzwerkgeräte, welche neben der Grandmaster Clock eigene Nachrichten zur Zeitsynchronisation senden und sich dadurch als Grandmaster Clock ausgeben kann eine Prüfung umfassen, ob ein Netzwerkgerät für den Betrieb des Netzwerks oder eines das Netzwerk enthaltenden Systems unverzichtbar ist, und daher nicht als Köder für einen möglichen Angriff dienen sollte. Unverzichtbare Netzwerkgeräte sind bspw. solche, die mehrere Netzwerksegmente miteinander verbinden, wie z.B. ein Switch, eine Bridge, oder auf denen Funktionen implementiert sind, welche nicht von anderen Netzwerkgeräten übernommen werden können, wie z.B. ein Domänenrechner für das automatisierte oder autonome Fahren oder andere sicherheitsrelevante Funktionen. Solche Netzwerkgeräte werden vorzugsweise nicht ausgewählt. Bei der Auswahl kann auch geprüft werden, ob ein Netzwerkgerät zur Ausführung generischer Funktionen oder Software eingerichtet ist, welche auch von einem anderen Netzwerkgerät innerhalb des Netzwerks ausführbar sind und entsprechend bei Bedarf auf eines dieser anderen Netzwerkgeräte verlagert werden können, bspw. bei einem erkannten Angriff auf ein Netzwerkgerät. Solche Netzwerkgeräte können bevorzugt für das Senden eigener Nachrichten zur Zeitsynchronisation ausgewählt werden, genauso wie Netzwerkgeräte, welche sich am Rand des Netzwerks befinden und/oder nicht sicherheitsrelevante Funktionen bereitstellen und deren Isolierung vom Rest des Netzwerks im Falle eines erkannten Angriffs nicht zu größeren Funktionsstörungen führen würde. Gleiches gilt für Netzwerkgeräte, an welche nur wenige weitere Netzwerkgeräte angeschlossen sind, bspw. Netzwerkgeräte mit nur einem Port und entsprechend nur einem Nachbarn, und die dadurch leichter isoliert werden können. Die Auswahl von Netzwerkgeräten für das Senden eigener Nachrichten zur Zeitsynchronisation kann auch bevorzugt Netzwerkgeräte treffen, die mit besonders starken Sicherheitsmechanismen versehen sind und daher Angriffen besser widerstehen können. In einem einfachen Fall kann die Auswahl von Netzwerkgeräten für das Senden eigener Nachrichten zur Zeitsynchronisation das Auslesen eines Flags umfassen das bei der Produktion oder Konfiguration des Netzwerkgeräts für den Betrieb in dem Netzwerk gesetzt wurde. Andere Merkmale zur Feststellung, ob ein Netzwerkgerät zum Senden zusätzlicher Nachrichten zur Zeitsynchronisation konfiguriert werden kann, können durch entsprechende Funktionsabfragen ermittelt werden.
-
Das erfindungsgemäße Verfahren umfasst außerdem in Netzwerkgeräten, die nicht die bei der Initialisierung ermittelte Grandmaster Clock bereitstellen, das Empfangen von Nachrichten zur Zeitsynchronisation an einer ersten Netzwerk-Schnittstelle und eine Prüfung, ob die in der Nachricht zur Zeitsynchronisation übertragene Uhrenidentifikation mit der gespeicherten Uhrenidentifikation der bei der Initialisierung ermittelten Grandmaster Clock übereinstimmt. Falls die Uhrenidentifikationen übereinstimmen wird eine lokale Uhr unter Verwendung der in der Nachricht zur Zeitsynchronisation empfangenen Zeitinformation synchronisiert.
-
Eine Weiterentwicklung des erfindungsgemäßen Verfahrens umfasst das Überwachen der in zusätzlichen Nachrichten zur Zeitsynchronisation übertragenen Zeitinformationen auf eine Abweichung gegenüber in Nachrichten zur Zeitsynchronisation mit der Uhrenidentifikation der bei der Initialisierung ermittelten Grandmaster Clock übertragenen Zeitinformationen. Solange ein Netzwerkgerät mit der bei der Initialisierung ermittelten Grandmaster Clock synchronisiert ist kann die dem Vergleich zugrunde liegende Zeitinformation auch von der Uhr des Netzwerkgeräts bereitgestellt sein. Wenn eine Abweichung der Zeitinformation festgestellt wurde, können zusätzliche Nachrichten zur Zeitsynchronisation mit der zugehörigen Uhrenidentifikation blockiert werden, d.h., nicht in das Netzwerk weitergeleitet werden, für die eine Abweichung festgestellt wurde. Sollte die Abweichung die Folge eines Angriffs auf das Netzwerkgerät sein wird ein Angreifer, der das Netzwerk nur an einer Stelle überwacht von der Blockierung nichts bemerken, weil Nachrichten zur Zeitsynchronisation nicht von einem Empfänger bestätigt werden. Alternativ kann die in der empfangenen zusätzlichen Nachricht zur Zeitsynchronisation übertragene abweichende Zeitinformation basierend auf von der bei der Initialisierung ermittelten Grandmaster Clock empfangenen Zeitinformationen korrigiert und weitergeleitet werden. Die Basis für die Zeitkorrektur kann auch die mit der bei der Initialisierung ermittelten Grandmaster Clock synchronisierte lokale Uhr sein. Alternativ oder zusätzlich kann eine entsprechende Nachricht an ein zuvor festgelegtes Netzwerkgerät des Netzwerks gesendet werden, welches dazu eingerichtet ist, geeignete Schutzmaßnahmen einzuleiten und/oder zu steuern. Geeignete Schutzmaßnahmen können bspw. eine Isolierung desjenigen Netzwerkgeräts oder einzelner Streams bzw. Nachrichten desjenigen Netzwerkgeräts vom Rest des Netzwerks umfassen, welches die abweichenden Zeitinformationen sendet, oder einen Neustart des betreffenden Netzwerkgeräts.
-
Eine Ausgestaltung des erfindungsgemäßen Verfahrens umfasst das sporadische oder zyklische Senden von Nachrichten zur Zeitsynchronisation durch die bei der Initialisierung ermittelte Grandmaster Clock, in denen die Zeitinformation von der tatsächlichen Zeit abweicht, und das Überwachen der von den anderen Netzwerkgeräten gesendeten zusätzlichen Nachrichten zur Zeitsynchronisation darauf, ob diese die abweichenden Zeitinformationen entsprechend widerspiegeln. Falls das nicht der Fall ist - unvermeidbare Toleranzen bei der Synchronisierung können dabei unbeachtet bleiben - liegt möglicherweise eine Fehlfunktion oder ein Angriff vor, und das Netzwerkgerät, das die bei der Initialisierung ermittelte Grandmaster Clock bereitstellt kann eine entsprechende Nachricht an ein zuvor festgelegtes Netzwerkgerät des Netzwerks senden, welches dazu eingerichtet ist, geeignete Schutzmaßnahmen einzuleiten und/oder zu steuern, bspw. das Netzwerkgerät, welches die Änderungen der abweichenden Zeitinformationen nicht widerspiegelt vom Rest des Netzwerks isoliert. Falls die von den anderen Netzwerkgeräten gesendeten zusätzlichen Nachrichten zur Zeitsynchronisation die geänderte Zeitinformation widerspiegeln kann davon ausgegangen werden, dass sich alle Pseudo-Grandmaster Clocks regelkonform verhalten.
-
Ein erfindungsgemäßes Computerprogrammprodukt enthält Befehle, die bei der Ausführung durch einen Computer diesen dazu veranlassen, eine oder mehrere Ausgestaltungen und Weiterentwicklungen des vorstehend beschriebenen Verfahrens ausführen.
-
Das Computerprogrammprodukt kann auf einem computerlesbaren Medium oder Datenträger gespeichert sein. Der Datenträger kann physisch verkörpert sein, bspw. als Festplatte, CD, DVD, Flash-Speicher oder dergleichen, der Datenträger bzw. das Medium kann aber auch ein moduliertes elektrisches, elektromagnetisches oder optisches Signal umfassen, das von einem Computer mittels eines entsprechenden Empfängers empfangen und in dem Speicher des Computers gespeichert werden kann.
-
Ein zumindest erfindungsgemäßes Netzwerkgerät umfasst neben einem Mikroprozessor und nichtflüchtigem und flüchtigem Speicher sowie einem Zeitgeber mindestens eine physikalische Kommunikationsschnittstelle. Die Komponenten des Netzwerkgeräts sind mittels einer oder mehreren Datenleitungen oder -bussen kommunikativ miteinander verbunden. Der Speicher des Netzwerkgeräts enthält Computerprogramminstruktionen, die bei Ausführung durch den Mikroprozessor das Netzwerkgerät dazu einrichten, eine oder mehrere Ausgestaltungen des vorstehend beschriebenen Verfahrens zu implementieren.
-
Die vorliegende Erfindung schützt den Grandmaster dadurch, dass dessen bislang einfach auffindbare Spur durch eine Vielzahl von falschen Spuren verschleiert bzw. verborgen wird und damit die Position des Grandmasters innerhalb des Netzwerks für Angreifer schwerer zu ermitteln ist. Dann kann der Angreifer gar nicht mehr angreifen oder er benötigt zumindest erheblich mehr Zeit. Angriffe die nicht zufällig sofort den Grandmaster betreffen können erkannt werden, und es können geeignete Abwehrmaßnahmen ergriffen werden, während das System weiterhin mit der geforderten Genauigkeit synchronisiert bleibt.
-
Das erfindungsgemäße Verfahren kann mit existierenden Netzwerkgeräten umgesetzt werden, wobei ggf. nur Anpassungen in der Software bzw. der für den Empfang und die Verarbeitung von Nachrichten zur Zeitsynchronisation genutzten Zustandsmaschinen erforderlich sind, um nur die von der bei der Initialisierung ermittelten Grandmaster Clock kommenden Nachrichten zur Zeitsynchronisation für die Synchronisierung der Uhren zu nutzen, die zusätzlichen Nachrichten zur Zeitsynchronisation aber trotzdem weiterzuleiten und nicht einfach zu löschen. Dadurch fallen, wenn überhaupt, für die Umsetzung nur geringe zusätzliche Kosten an. Auch bestehende Systeme können durch entsprechend geänderte Software dazu eingerichtet werden, das Verfahren umzusetzen. Ein weiterer Vorteil des erfindungsgemäßen Verfahrens liegt darin, dass die jeweils zugrundeliegende Hardwareplattform ohne Bedeutung ist, solange diese eine Synchronisierung nach dem IEEE 802.1AS-Standard unterstützen.
-
Figurenliste
-
Im Folgenden wird die Erfindung mit Bezug auf die Zeichnung exemplarisch erläutert. In der Zeichnung zeigt:
- 1 ein beispielhaftes Blockschaltbild eines gemäß IEEE 802.1AS-Standard synchronisierten Netzwerks,
- 2 das Blockschaltbild des Netzwerks aus 1 während eines Angriffs,
- 3 ein beispielhaftes Blockschaltbild eines gemäß IEEE 802.1AS-Standard synchronisierten Netzwerks, welches das erfindungsgemäße Verfahren implementiert,
- 4 eine erste Darstellung des Blockschaltbilds des Netzwerks aus 3 während eines Angriffs,
- 5 eine zweite Darstellung des Blockschaltbilds des Netzwerks aus 3 während eines Angriffs,
- 6 ein schematisches Flussdiagramm eines Aspekts des erfindungsgemäßen Verfahrens, und
- 7 ein schematisches Blockschaltbild eines das Verfahren implementierenden Netzwerkgeräts.
-
Gleiche oder ähnliche Elemente können in den Figuren mit denselben Bezugszeichen referenziert sein.
-
BESCHREIBUNG VON AUSFÜHRUNGSBEISPIELEN
-
1 zeigt ein beispielhaftes Blockschaltbild eines gemäß IEEE 802.1AS-Standard synchronisierten Netzwerks 100 mit mehreren mit einer ersten Grandmaster Clock zeitsynchronisierten Netzwerkgeräten 102, 104, 106, 108, 110 und 112. Dabei sind jeweils die Netzwerkgeräte 102 und 108, 102 und 104, 104 und 110, 104 und 106 sowie 106 und 112 über bidirektionale Kommunikationsverbindungen miteinander verbunden. Netzwerkgeräte 104, 106 und 108 sind zudem mit weiteren, in der Figur nicht dargestellten Netzwerkgeräten über bidirektionale Kommunikationsverbindungen verbunden. Jedes der Netzwerkgeräte 102 - 112 hat einen gemäß IEEE 802.1AS-Standard synchronisierbaren Zeitgeber. Netzwerkgerät 112 ist dabei nach Ausführung des im Standard vereinbarten BMCA als Grandmaster Clock für das gesamte System ermittelt worden, d.h., von Netzwerkgerät 112 ausgehend werden Nachrichten zur Zeitsynchronisation in das Netzwerk gesendet. Dabei sendet Netzwerkgerät 112 Nachrichten zur Zeitsynchronisation an das direkt mit ihm verbundene Netzwerkgerät 106, sowie an ein weiteres, nicht in der Figur gezeigtes Netzwerkgerät. Die Senderichtung der Nachrichten zur Zeitsynchronisation ist jeweils durch die neben den Kommunikationsverbindungen abgebildeten weiß ausgefüllten Pfeile angedeutet. Netzwerkgerät 106 korrigiert die von Netzwerkgerät 112 empfangene Zeitinformation um die zuvor ermittelte Laufzeit auf der Kommunikationsverbindung zu Netzwerkgerät 112 und die Zeit, die in dem Netzwerkgerät 106 für eine Korrektur und Weiterleitung benötigt wird, und sendet eine entsprechend modifizierte Nachrichten zur Zeitsynchronisation an Netzwerkgerät 104 sowie an ein weiteres, nicht in der Figur dargestelltes Netzwerkgerät weiter. Dabei beinhaltet die Nachrichten zur Zeitsynchronisation neben der korrigierten Zeitinformation auch Informationen über die Grandmaster Clock des Systems, in diesem Fall Netzwerkgerät 112. Netzwerkgerät 104 verfährt entsprechend und sendet erneut um entsprechende Laufzeiten korrigierte Nachrichten zur Zeitsynchronisation an Netzwerkgeräte 110 und 102, sowie an ein weiteres, nicht in der Figur gezeigtes Netzwerkgerät. Wiederum entsprechend sendet Netzwerkgerät 102 eine korrigierte Zeitinformation an das Netzwerkgerät 108. Aufgrund der jeweiligen Korrektur der Zeitinformation vor dem Weiterleiten sind alle Zeitgeber in den Netzwerkgeräten auf die Zeit der Grandmaster Clock synchronisiert, ausgenommen etwaiger verbleibender Restungenauigkeiten aufgrund individueller Abweichungen der Korrekturen der Zeitinformation vor dem jeweiligen Weiterleiten. Die Grandmaster Clock sendet zyklisch Nachrichten zur Zeitsynchronisation in das Netzwerk, die dann wie vorstehend beschrieben weiterverteilt werden.
-
Das in der Figur dargestellte Ohr repräsentiert einen Angreifer, der durch Abhören des Netzwerkverkehrs herausfinden will, welches Netzwerkgerät die Grandmaster Clock bereitstellt. Das Abhören ist durch die auf das Ohr weisenden Pfeile angedeutet. Da in jeder Nachricht zur Zeitsynchronisation die Uhrenidentifikation enthalten ist und außerdem die jeweilige MAC-Adresse des Absenders und des Empfängers ist es ein Leichtes für den Angreifer, Netzwerkgerät 112 als Grandmaster Clock in dem Netzwerk zu identifizieren und als Angriffsziel auszuwählen. Die das Abhören andeutenden Pfeile sind nur als Beispiele zu verstehen - ein Abhören kann an beliebigen Stellen des Netzwerks erfolgen.
-
2 zeigt das Blockschaltbild des Netzwerks 100 aus 1 während eines Angriffs. Nachdem der Angreifer Netzwerkgerät 112 als Grandmaster Clock identifiziert hat kann er versuchen, den Zeitgeber selbst oder die von Netzwerkgerät 112 gesendeten Nachricht zur Zeitsynchronisation zu manipulieren. Aufgrund der Synchronisation würden alle Netzwerkgeräte die manipulierte Zeitinformation übernehmen und nach kurzer Zeit wären alle Netzwerkgeräte des Netzwerks auf eine falsche Zeit synchronisiert, angedeutet durch die Schraffur der die Netzwerkgeräte darstellenden Boxen.
-
3 zeigt ein beispielhaftes Blockschaltbild eines gemäß IEEE 802.1AS-Standard synchronisierten Netzwerks 100, welches das erfindungsgemäße Verfahren implementiert. Die Netzwerkgeräte des Netzwerks entsprechen denen aus 1 und 2, und wie in 1 ist Netzwerkgerät 112 als Grandmaster Clock festgelegt worden. Netzwerkgerät 112 sendet entsprechend Nachrichten zur Zeitsynchronisation in das Netzwerk, die von den anderen Netzwerkgeräten nach der standardkonformen Korrektur der Zeitinformation weitergeleitet werden, angedeutet durch die weiß ausgefüllten Pfeile. Erfindungsgemäß sind jedoch die Netzwerkgerät dazu eingerichtet, nach einer Initialisierung der Zeitsynchronisation zusätzliche Nachrichten zur Zeitsynchronisation in das Netzwerk zu senden. Netzwerkgeräte 102, 110 und ein weiteres, in der Figur nicht dargestelltes Netzwerkgerät senden jeweils zusätzliche Nachrichten zur Zeitsynchronisation mit Uhrenparametern und Zeitinformationen, die denen der Grandmaster Clock gleichen oder entsprechen, jedoch mit ihrer eigenen eindeutigen Uhrenidentifikation. Die von den zusätzlichen Grandmaster Clocks ausgehenden Pfeile, die Nachrichten zur Zeitsynchronisation darstellen, sind entsprechend unterschiedlich schraffiert. Ein Angreifer würde eine Vielzahl von Nachrichten zur Zeitsynchronisation erkennen, die von unterschiedlichen Netzwerkgeräten gesendet werden, die aber jede von der Grandmaster Clock zu stammen scheint und dieselbe synchronisierte Zeitinformation enthält. Es ist für den Angreifer dadurch erheblich erschwert herauszufinden, welches NGW tatsächlich die Grandmaster Clock bereitstellt. Die Auswahl der Netzwerkgeräte, die zusätzliche Nachrichten zur Zeitsynchronisation senden berücksichtigt dabei, dass die Netzwerkgeräte möglichst einfach zu isolieren sein sollen, oder Angriffe besonders gut abwehren können.
-
4 zeigt eine erste Darstellung des Blockschaltbilds des Netzwerks 100 aus 3 während eines Angriffs. Der Angreifer hat sich Netzwerkgerät 108 zum Ziel genommen und die in den Nachrichten zur Zeitsynchronisation dieses Netzwerkgeräts enthaltene Zeitinformation verändert, angedeutet durch die fettere diagonale Schraffur des Uhrensymbols, der das Netzwerkgerät repräsentierenden Box und des von dem Netzwerkgerät fortweisenden Pfeils, der die Nachricht zur Zeitsynchronisation darstellt. Netzwerkgerät 102 ist nach wie vor auf die von Netzwerkgerät 112 bereitgestellte Zeit synchronisiert und erkennt, dass die von Netzwerkgerät 108 kommende Nachricht zur Zeitsynchronisation eine falsche Zeitinformation enthält. Es kann jetzt bspw. die in der von Netzwerkgerät 108 kommenden Nachricht zur Zeitsynchronisation enthaltene Zeitinformation anhand seiner eigenen, mit der „echten“ Grandmaster Clock synchronisierten Zeit korrigieren und in das Netzwerk senden. Dies ist durch die dünnere diagonale Schraffur der Pfeile angedeutet. Netzwerkgerät 102 kann jedoch auch, wie in 5 dargestellt, von Netzwerkgerät 108 kommende Nachrichten zur Zeitsynchronisation ignorieren und nicht in das Netzwerk weitersenden.
-
6 zeigt ein schematisches Flussdiagramm eines Aspekts des erfindungsgemäßen Verfahrens 200. In Schritt 202 erfolgt die Initialisierung der Zeitsynchronisation in grds. bekannter Weise, bspw. die Durchführung des Best Master Clock Algorithmus, gefolgt vom Speichern der eindeutigen Uhrenidentifikation der bei der Initialisierung ermittelten Grandmaster Clock in Schritt 204. Schritt 204 kann in jedem Netzwerkgerät des Netzwerks ausgeführt werden. Ausgewählte Netzwerkgeräte die nicht die zuvor ermittelte Grandmaster Clock bereitstellen senden, in Schritt 206, erfindungsgemäß zusätzliche Nachrichten zur Zeitsynchronisation.
-
An dieser Stelle kann das Verfahren auf unterschiedliche Arten fortgeführt werden. Im Normalfall werden von nahezu allen Netzwerkgeräten in Schritt 208 Nachrichten zur Zeitsynchronisation von der bei der Initialisierung ermittelten Grandmaster Clock sowie die in Schritt 206 von den ausgewählten Netzwerkgeräten gesendeten zusätzlichen Nachrichten zur Zeitsynchronisation empfangen. Die Netzwerkgeräte welche selbst Nachrichten zur Zeitsynchronisation senden empfangen ihre eigenen Nachrichten zur Zeitsynchronisation logischerweise nicht. In Schritt 210 prüft jedes Netzwerkgerät, ob eine empfangene Nachricht zur Zeitsynchronisation von der bei der Initialisierung ermittelten Grandmaster Clock stammt. Ist dies der Fall, „ja“-Zweig von Schritt 210, synchronisiert das Netzwerkgerät seinen eigenen Zeitgeber in Schritt 212, nachdem es zuvor in Schritt 214a eine Korrektur der Verzögerung auf der Empfangsverbindung vorgenommen hat. Wenn mit dem Netzwerkgerät weitere Netzwerkgeräte direkt verbunden sind sendet das Netzwerkgerät eine Nachricht zur Zeitsynchronisation mit der ggf. in Schritt 214b um interne Verzögerungszeiten korrigierten Zeitinformation in Schritt 216 an benachbarte Netzwerkgeräte. Wenn die Nachricht zur Zeitsynchronisation nicht von der bei der Initialisierung ermittelten Grandmaster Clock stammt, „nein“-Zweig von Schritt 210, korrigiert das Netzwerkgerät die empfangene Zeitinformation in Schritten 214a und 214b um die Verzögerung auf der Empfangsverbindung und die bekannte interne Verzögerung, und sendet eine Nachricht zur Zeitsynchronisation mit der korrigierten Zeitinformation in Schritt 216 an benachbarte Netzwerkgeräte.
-
Zusätzlich kann in Schritt 220 geprüft werden, ob die in den zusätzlichen Nachrichten zur Zeitsynchronisation empfangene Zeitinformation von der in Nachrichten zur Zeitsynchronisation mit der Uhrenidentifikation der bei der Initialisierung ermittelten Grandmaster Clock übertragenen Zeitinformationen abweicht. Wenn dies nicht der Fall ist, „nein“-Zweig von Schritt 220, braucht nichts weiter unternommen zu werden. Wenn jedoch eine Abweichung erkannt wird, die nicht mit unvermeidlichen Toleranzen bei der Synchronisierung zu erklären ist, „ja“-Zweig von Schritt 220, kann die Weiterleitung der zusätzlichen Nachricht zur Zeitsynchronisation in Schritt 222 blockiert werden. Alternativ kann die abweichende Zeitinformation in Schritt 224 anhand der Zeitinformation der internen Uhr korrigiert werden, welche mit der bei der Initialisierung ermittelten Grandmaster Clock synchronisiert ist, und anschließend nach der Korrektur der Laufzeiten und Verzögerungen in Schritten 214a und 214b in Schritt 216 weitergesendet werden. Alternativ oder zusätzlich kann in Schritt 226 eine Nachricht an ein zuvor festgelegtes Netzwerkgerät des Netzwerks gesendet werden, welches dazu eingerichtet ist, Schutzmaßnahmen einzuleiten und/oder zu steuern.
-
7 zeigt ein exemplarisches Blockdiagramm eines zur Ausführung des erfindungsgemäßen Verfahrens eingerichteten Netzwerkgeräts 400. Das Netzwerkgerät 400 umfasst neben einem Mikroprozessor 402 flüchtigen und nichtflüchtigen Speicher 404, 406, zwei Kommunikationsschnittstellen 408, sowie einen synchronisierbaren Zeitgeber 410. Die Elemente des Netzwerkgeräts sind über eine oder mehrere Datenverbindungen oder -busse 412 kommunikativ miteinander verbunden. Der nichtflüchtige Speicher 406 enthält Programminstruktionen die, wenn sie von dem Mikroprozessor 402 ausgeführt werden, zumindest eine Ausgestaltung des erfindungsgemäßen Verfahrens implementieren.
-
Bezugszeichenliste
-
- 100
- Fahrzeugnetzwerk
- 102
- Netzwerkgerät
- 104
- Netzwerkgerät
- 106
- Netzwerkgerät
- 108
- Netzwerkgerät
- 110
- Netzwerkgerät
- 112
- Netzwerkgerät
- 200
- Verfahren
- 202
- Initialisieren
- 204
- Speichern
- 206
- Senden
- 208
- Empfangen
- 210
- Uhrenidentifikation prüfen
- 212
- Synchronisieren
- 214a/b
- Zeit korrigieren
- 216
- Weitersenden
- 220
- Überwachung auf Abweichung
- 222
- Weitersenden blockieren
- 224
- Zeitinformation korrigieren
- 226
- Nachricht senden
- 400
- Netzwerkgerät
- 402
- Mikroprozessor
- 404
- RAM
- 406
- ROM
- 408
- Kommunikationsschnittstelle
- 410
- Zeitgeber
- 412
- Bus
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102012216689 B4 [0007]
